Google 撤销了对设备指纹的禁令：开发者需要知道什么

2025 年 2 月，Google 悄然更新了其广告政策，允许设备指纹技术——同一种它在 2019 年公开谴责为"错误"的技术。该变更于 2025 年 2 月 16 日生效，对任何构建分析、运营网站，或依赖 Google 广告基础设施的人都有重大影响。

指纹技术究竟是什么

设备指纹是一种将浏览器或设备的多个被动信号组合起来，构建持久标识符的做法。不设置 cookie。不写入 localStorage 条目。从不询问用户。所使用的信号包括：

• IP 地址和网络元数据
• 操作系统和浏览器版本
• 屏幕分辨率和色深
• 已安装的字体和可用的编解码器
• 语言、时区和电池状态

单独来看，这些都不是唯一标识符。但组合起来，它们产生的指纹精准到足以在多个会话中重新识别同一设备，即使在清除 cookie 后，甚至在隐私浏览模式下。与 cookie 不同，用户没有机制可以删除指纹。

Google 的政策说了什么——以及发生了什么变化

Google 2019 年的立场是明确的：指纹技术"颠覆了用户选择，是错误的"，因为它在标准浏览器隐私控制之外运作。该政策禁止广告商在 Google 广告产品中使用指纹技术。

2025 年 2 月的更新移除了该禁令。Google 的措辞是程序性的——该更新被描述为常规政策修订——但实质是一次撤销。广告商现在可以使用设备级标识符，包括 IP 地址、屏幕尺寸、时区、电池状态和 user agent 字符串，进行定向和测量，而无需获得用户同意或披露该做法。

监管反应

英国信息专员办公室（ICO）立即作出回应。ICO 监管风险执行董事 Stephen Almond 称此举"不负责任"，并明确监管立场：根据 PECR（隐私与电子通信条例），指纹技术受与 cookie 相同的同意要求约束。

ICO 的推理在技术上是精确的。PECR 将同意触发器定义为"在设备上存储信息，或访问存储在设备上的信息"。指纹技术访问来自设备的信息——它读取浏览器环境中的值——这意味着无论是否写入 cookie 文件，同意要求都适用。重要的是访问机制，而非持久化格式。

在 GDPR 下，那些可以请求擦除基于 cookie 的资料的数据主体，对于基于指纹的资料没有可比的机制。**你无法从不受你控制的服务器上删除指纹。**这造成了欧盟和英国监管机构正在积极审查的不对称性。

这为何对你的分析栈很重要

如果你的站点加载了 Google 的广告标签——包括 GA4 的 gtag.js 在连接到 Google Ads 时——你的访客现在受制于一项不需要他们同意的指纹政策。GA4 标签本身大约 45 KB 并发起多次出站请求；随着指纹技术的变化，这些请求现在可能携带持久的设备派生标识符到 Google 的基础设施。

对于在 GDPR 下运营的开发者，实际后果是部署 Google 标签而无同意机制越来越难以辩护。ICO 已表示，指纹技术"在现有框架下面临很高的标准"——这表明针对启用基于指纹的追踪的发布商的执法行动是近期切实存在的风险。

还有一个更微妙的后果：数据质量。指纹技术向分析管道注入未经同意的标识符。如果你使用 Google 的测量栈，你的归因数据中的某些部分现在源自被动的设备信号而非已同意的事件。两个群体——已同意的和被指纹的——并不等价，将它们混合而不加标注会降低你指标的可靠性。

与无指纹数据收集的对比

完全不进行指纹识别的分析方法从结构上规避了这些问题。Monoid 追踪器向 /collect 发送单次 POST，除了从普通请求 User-Agent 在服务器端派生的粗略浏览器系列和设备类型外，不携带任何设备级信号。不存储 IP。不枚举字体。不收集屏幕分辨率。无跨会话标识符。

每日访客哈希——SHA-256(IP + UA + SALT_SECRET + YYYY-MM-DD)——仅在内存中使用 IP 和 user agent，随即丢弃，并产生一个每 24 小时重置的值。这与指纹相反：它无法跨会话保留，无法跨天关联，也无法用于重新识别特定设备。

根据 ICO 的分析，此方法不触发 PECR 同意要求，因为它不访问存储在设备上的信息，也不产生持久标识符。该方法的法律和技术理由自 2025 年 2 月以来只增不减。

现在应审计什么

如果你在站点上运行分析或广告标签，三个问题值得立即回答：

1. Does this tag access device-level signals (fonts, battery, screen resolution)?
2. Does it send those signals to a third-party server?
3. Do you have a legal basis — consent or legitimate interest — documented for that transfer?

Google 的政策变更不会改变你的法律义务；它改变的是 Google 允许其广告商做什么。GDPR 和 PECR 仍要求处理的合法依据、隐私声明的透明度，并且——在以同意为依据时——要求用户能够拒绝并撤回的机制。

绕过这些问题最简单的路径是从一开始就不收集指纹派生的数据。从不触及设备级信号的工具，对于围绕指纹技术的监管不确定性没有任何风险，无论 Google 政策如何演变。